🇰🇷 한글 설명
FV Flowplayer Video Player WordPress 플러그인 7.5.57.7212 이전 버전은 댓글에 포함된 숏코드 속성값을 이스케이프하지 않고 미디어 플레이어 마크업으로 렌더링합니다. 이로 인해 인증되지 않은 방문자가 댓글에 스크립트를 저장할 수 있으며, 해당 영상을 재생한 관리자를 포함한 모든 방문자의 세션에서 실행될 수 있습니다. 이 문제는 댓글 숏코드 파싱 설정이 활성화된 경우에만 발생합니다.
💡 쉬운 설명
웹사이트 댓글에 악성 코드를 숨겨 두면, 그 댓글의 동영상을 누군가 재생할 때 그 사람의 브라우저에서 코드가 실행됩니다. 관리자가 재생하면 관리자 권한이 탈취될 위험이 있습니다.
🇺🇸 원문 (English)
The FV Flowplayer Video Player WordPress plugin before 7.5.57.7212 does not escape shortcode attribute values embedded in comments before rendering them into the media player markup, allowing an unauthenticated visitor to store a script payload in a comment that executes in the session of any visitor, including an administrator, who plays the commented video, when the non-default comment-shortcode-parsing setting is enabled.
📍 영향받는 시스템
FV Flowplayer Video Player WordPress 플러그인 7.5.57.7212 미만 버전 (댓글 숏코드 파싱 설정 활성화 시)
⚔️ 공격 벡터
인증 없이 댓글에 숏코드 속성으로 스크립트를 삽입하고, 관리자 등 방문자가 해당 영상을 재생할 때 XSS가 실행되어 세션이 탈취됨
🛡️ 대응 방법
FV Flowplayer 플러그인을 7.5.57.7212 이상으로 업데이트하고, 댓글 숏코드 파싱 설정을 비활성화합니다.
🔧 검증 코드
출력된 버전 번호가 7.5.57.7212 미만이면 취약하며, 해당 버전 이상이면 패치된 상태입니다. 결과가 없으면 플러그인이 설치되지 않은 것입니다.
wp plugin list --name=fv-wordpress-flowplayer --field=version 2>/dev/null || grep -rh "Version:" /var/www/*/wp-content/plugins/fv-wordpress-flowplayer/*.php 2>/dev/null | head -n 1